前言
OSWA（Web Attacks with Kali Linux），也就是WEB-200，这是一门WEB级别的基础课程，可以算是OSWE的前置课程。
与WEB-300不同的是，这一门课程主要是通过黑盒发现漏洞拿到flag，而WEB-300是通过白盒审计代码发现漏洞，所以会更注重于黑盒方面漏洞发现能力。
注意事项
OSWA考试时间也是48小时，24小时考试，24小时提交报告时间，与OSCP和其他300级别的不同的是，OSWA可以在不获取反弹shell的情况下读取flag，也就是可以从web页面、Burp Suite页面读取flag，但操作的步骤要写清楚。
考试中，Sqlmap和Metasploit是允许使用的，且不受次数限制，Burp Suite Pro也可以用，但其实用不上这么多，kali自带的Burp Suite社区版以及Sqlmap就足以，Msf至少在我考试时，是没有遇到过需要使用的场景。
备考
官方提供了8个练习靶场，第一个在教材里面会有讲解，相当于只有7个用来练习的。
考察方向基本就是web方面的常见漏洞，其中会有部分情况需要利用多个不同漏洞组合才能达到预期效果。
教材中的章节大多都会带一些练习题，如果对于部分漏洞掌握不是很熟练的话，可以在教材中针对性的练习一下。
从开始到预约考试，正儿八经花的时间并没有很多，有很多时间都是因为懒，不想做导致的拖延。
OSWA是没有奖励分的，就算把靶场和教材的练习全部做完，也不会有类似OSCP的十分奖励积分。
考试
在连接考试的VPN后，控制面板那里会给出目标机器的IP地址，同样还是先做扫描，基本都是web端口，没有其他多余的服务。
要完整的做完一台机器，分为两部分，这里和OSWE类似，一部分绕过身份验证，绕过之后进入管理后台，第一个flag就会直接在页面上，第二部分进入管理后台之后拿到第二个flag，这里不一定是需要反弹shell回来拿flag，flag就在网页目录下，通过web漏洞去拿也是可以的。
难度倒不是很高，只是漏洞利用点有时候藏得很深，需要不断地枚举，这一部分相当耗费时间。
考试时间是从10月12号上午开始，下午基本就做完了，100分的总分，70分即可通过，一个flag算10分，最终拿到了9个flag，最后一个已经枚举的有点烦了，就没打算继续。
当天结束考试后，写完报告提交，审核速度相当慢，直到20号的下午才收到考试通过邮件。
结语
考试不难，枚举麻烦，这一门课程可以用来当作WEB-300的前置，WEB-300中有许多利用技巧在这门课程中有讲解。